Certificazione ISO 27001: la sicurezza delle informazioni

Cos’è la ISO 27001

È la norma internazionale per i sistemi di gestione della sicurezza delle informazioni (ISMS). La versione in vigore, su cui si certifica, è la ISO/IEC 27001:2022.

Non è solo informatica: riguarda come l’azienda protegge le informazioni — digitali e non — da accessi, perdite e manomissioni, attraverso regole chiare, responsabilità definite e controlli documentati.

Il principio è semplice: prima si valuta il rischio, poi si scelgono i controlli. Non si applicano tutti, ma solo quelli che il rischio giustifica. È un sistema su misura, non una tuta standard — ed è anche il motivo per cui una consulenza generica non basta.

A chi serve e perché

• Chi tratta dati sensibili o critici — clienti, sanitari, finanziari, industriali — e deve dimostrarne la protezione.
• Fornitori di software e servizi digitali che devono rassicurare i committenti sulla sicurezza dei dati affidati.
• Chi partecipa a gare e bandi dove la certificazione è requisito d’accesso o fattore di punteggio, sempre più spesso nel digitale e nelle forniture IT.
• Chi vuole ridurre il rischio di attacchi, fughe di dati e fermi operativi.
• Chi opera tra Svizzera e Italia e vuole coprire con un unico sistema le aspettative di GDPR e nLPD.

Obbligatorietà: non è obbligatoria per legge, ma diventa di fatto necessaria quando un cliente, un bando o una filiera la richiede — e accade sempre più spesso.

Il legame con GDPR e nLPD

La ISO 27001 non è la stessa cosa della protezione dei dati personali, ma è lo strumento organizzativo che aiuta a dimostrare le misure di sicurezza adeguate richieste sia dal GDPR (per i clienti in Italia e nell’Unione Europea) sia dalla nLPD svizzera.

Il GDPR, all’articolo 32, richiede misure tecniche e organizzative adeguate per la sicurezza del trattamento; la nLPD impone obblighi analoghi. Un sistema 27001 ben costruito documenta esattamente quelle misure: chi accede a cosa, come sono protetti i dati, quali controlli sono attivi, chi è responsabile.

Per un’azienda che opera su entrambi i lati del confine il vantaggio è concreto: un unico sistema copre le aspettative dei due quadri normativi, invece di rincorrerli separatamente.

	GDPR (UE / Italia)	nLPD (Svizzera)	ISO 27001
Natura	Regolamento (legge)	Legge	Norma volontaria
Oggetto	Dati personali	Dati personali	Sicurezza delle informazioni
Campo	Persone fisiche	Persone fisiche	Tutte le informazioni aziendali
Certificazione	No	No	Sì, volontaria

La valutazione del rischio: il cuore della norma

È il passaggio più importante e il più tecnico: è qui che si decide quali controlli servono davvero e quali sarebbero solo peso morto. Un approccio “a checklist” applica tutto senza criterio e crea burocrazia inutile; un approccio basato sul rischio protegge dove serve, senza appesantire l’azienda. È la parte in cui la competenza fa la differenza — e su cui l’auditor guarda con più attenzione.

La versione in vigore: ISO 27001:2022

La certificazione si ottiene oggi sulla ISO/IEC 27001:2022, che ha aggiornato e riorganizzato i controlli di sicurezza rispetto all’edizione precedente. Chi si certifica ora parte direttamente con la struttura aggiornata; chi era certificato sulla vecchia versione ha completato la transizione nei normali cicli di sorveglianza o rinnovo.

Il percorso in fasi

1. Analisi iniziale — la valutazione preliminare gratuita: dove sei, cosa hai già, cosa manca.
2. Pianificazione — ambito del sistema, obiettivi, responsabilità.
3. Valutazione del rischio informativo — il passaggio che guida tutto il resto.
4. Scelta dei controlli e Dichiarazione di Applicabilità — si definiscono le misure adatte al caso e si documenta la scelta.
5. Sviluppo del sistema di gestione — politiche, procedure, gestione degli accessi, controlli fisici e tecnologici.
6. Formazione del personale — la sicurezza si fa con le persone, non solo con la tecnologia.
7. Audit interno — la prova generale, fatta sul serio.
8. Audit di certificazione — la verifica dell’ente terzo indipendente.
9. Mantenimento — sorveglianza annuale, rinnovo su ciclo triennale.

Come si compone il costo

Le voci sono due e restano separate: l’onorario della consulenza e la tariffa dell’ente di certificazione, soggetto terzo e indipendente. Le variabili sono dimensione, complessità del sistema informativo, numero di sedi e il fatto che ci sia già un sistema in piedi o si parta da zero. Ne parliamo apertamente al primo contatto, con riferimento al tuo caso e non a un listino generico.

Perché BS & Partners

• 10 anni di attività, 117 progetti, lavoro in 9 paesi.
• Competenza software reale: sviluppiamo applicazioni, quindi la sicurezza delle informazioni la affrontiamo da dentro e non da una checklist. Su una norma tecnica come questa è un vantaggio che pochi consulenti ISO della zona possono offrire.
• Lo studio e come lavoriamo: il profilo di BS & Partners.

Se stai guardando anche all’intelligenza artificiale, il passo successivo naturale è la ISO 42001: chi ha già la 27001 parte avvantaggiato.